移動支付漏洞近九成損失無法追回?這4點一定要注意

­　　據(jù)CNNIC發(fā)布的第39次《中國互聯(lián)網(wǎng)絡(luò)發(fā)展狀況報告》顯示，截至2016年12月，我國網(wǎng)民規(guī)模達7.31億，其中手機網(wǎng)民規(guī)模達6.95億，增速連續(xù)3年超過10%。此外，《通付盾移動安全態(tài)勢監(jiān)測報告》顯示，截至2017年2月，全國300多個應(yīng)用市場中APP的數(shù)量達到3,701,977款，其中手機銀行APP數(shù)量達412款。

­　　在移動互聯(lián)時代，移動支付的理念已經(jīng)普及到各個年齡段。移動支付豐富了支付場景，成為繼銀行卡、現(xiàn)金之外最常使用的支付方式。手機作為移動支付的主要載體，完成了大部分移動支付功能。然而，在復雜的互聯(lián)網(wǎng)安全態(tài)勢下，越來越多的不法分子把罪惡之手伸向了移動支付，使得移動安全態(tài)勢越來越嚴峻。

­　　目前市場上存在的惡意、盜版、漏洞應(yīng)用數(shù)量一直居高不下，對企業(yè)和個人用戶造成了極大威脅，除此之外，無線網(wǎng)絡(luò)不安全、移動支付應(yīng)用軟件自身漏洞、支付認證缺陷等方面的風險也暗藏在手機用戶進行支付的每一個環(huán)節(jié)中，任何一個環(huán)節(jié)出現(xiàn)問題，都有可能直接影響到用戶的支付安全。

­　　移動支付隱藏的安全風險

­　　1、手機聯(lián)網(wǎng)容易接入不安全網(wǎng)絡(luò)

­　　如今很多公共場所(如商場、機場等)都部署了免費無線網(wǎng)絡(luò)方便用戶使用，然而這些網(wǎng)絡(luò)安全性并不高，很容易被不法分子劫持并監(jiān)控，更有甚者，會設(shè)置一個與某公共WiFi熱點同名的免費WiFi網(wǎng)絡(luò)，吸引用戶通過移動設(shè)備接入該網(wǎng)絡(luò)，然后通過分析軟件竊取用戶的WiFi登錄密碼，獲取用戶個人資料、銀行賬戶、網(wǎng)絡(luò)支付賬戶密碼，實施資金的盜刷。有報告稱，信息安全組織在“北上廣”三地的公共場所對6萬多個WiFi熱點進行了調(diào)查，結(jié)果顯示這其中有8.5%的WiFi熱點是釣魚WiFi。

­　　2、用戶容易被惡意軟件蒙蔽，安裝盜版軟件

­　　由于安卓平臺的開放性，允許第三方應(yīng)用加入，應(yīng)用軟件很容易被盜版。而這些盜版軟件中暗含信息竊取、流量消耗等惡意行為，其外觀(如名稱、圖標、運行界面等)與正版十分類似，給用戶造成混淆。如果第三方應(yīng)用中心不嚴格把控，讓惡意軟件上架，手機用戶下載并安裝了這些惡意軟件，很可能造成個人隱私泄露、資金損失等。

­　　3、軟件自身存在安全漏洞，易被攻擊

­　　移動支付產(chǎn)品愈便捷，其存在的安全隱患也愈嚴重。移動應(yīng)用在設(shè)計、開發(fā)、運行等過程中，由于開發(fā)人員技術(shù)水平參差不齊，很容易產(chǎn)生一些不可避免的漏洞，這些安全漏洞一旦被不法分子利用，就會導致手機軟件崩潰或者盜取用戶信息、賬號密碼，甚至造成資金損失等安全事件。

­　　4、用戶登錄支付認證方式存在缺陷

­　　目前，大部分金融支付機構(gòu)相關(guān)業(yè)務(wù)場景(如轉(zhuǎn)賬匯款)中均采取單一因素進行身份認證，無論是PIN碼認證、短信驗證碼認證、指紋認證、人臉識別等認證方式，都因為認證因素過于單一，而在安全性上得不到強有力的保障。

­　　如短信驗證碼，這種認證方式貌似簡單便捷，但不法分子可通過木馬病毒、補卡攻擊、克隆攻擊、無線電監(jiān)聽等諸多方式截取到用戶短信驗證碼內(nèi)容，進而盜取用戶錢財、盜刷用戶銀行卡；而人臉識別作為人工智能領(lǐng)域一項先進的技術(shù)創(chuàng)新，卻也在315晚會上被爆安全性漏洞，觸目驚心。

­　　如何全方位保障移動支付安全

­　　1、各金融支付機構(gòu)對自身軟件的安全保護

­　　“移動APP本身的安全應(yīng)當從源頭上做好防護，上線前一定要經(jīng)過安全檢測，進行必要的安全加固，防止‘帶病上線’”通付盾總裁王梅對目前的移動應(yīng)用市場環(huán)境深表憂慮，并表示在APP發(fā)布運營后還應(yīng)當實時監(jiān)測，及時獲知應(yīng)用威脅并做好應(yīng)對措施。此外，

­　　支付機構(gòu)應(yīng)與第三方應(yīng)用商店協(xié)同，定期對移動APP進行檢查，確認是否為最新版本。

­　　支付機構(gòu)可與安全服務(wù)廠商合作，定期進行漏洞掃描，發(fā)現(xiàn)問題及時修復并加固。

­　　移動APP在啟動運行時，應(yīng)對用戶進行提示，“盡量不要連接不熟悉的公共無線網(wǎng)絡(luò)”。

­　　2、各金融支付機構(gòu)應(yīng)改進用戶登錄支付方式

­　　目前市場上存在的身份認證方式非常多，比如賬號密碼、短信驗證、人臉識別、指紋識別等。眾所周知，其中短信驗證碼身份認證仍然是很多銀行和支付平臺常用的移動身份認證方式。誠然，短信驗證碼具有用戶體驗好，便捷性好的優(yōu)勢，但是在賬號盜用情況日益猖獗、黑產(chǎn)技術(shù)水平不斷升級的未來，單一因素的身份認證方式也變得較為脆弱，應(yīng)當加以改進。

­　　“一個最簡單的8位密碼加驗證碼，只能阻擋黑客半小時。而人臉識別、活體檢測等認證手段只能作為輔助的身份認證措施?！痹谕ǜ抖芏麻L汪德嘉看來，身份認證安全必須通過多因子、多緯度來保證。在實際應(yīng)用中，更要注意區(qū)分身份識別的使用場景，在涉及隱私、支付等高級別安全場景使用時，將生物特征與多種因子相融合，多個方面同時發(fā)力，從而提高安全門檻，保障用戶安全。

­　　通付盾HUE多因子身份認證解決方案通過綜合判斷時間、空間、設(shè)備、行為等多重因子識別用戶身份，幫助企業(yè)客戶安全、便捷地解決平臺用戶賬號登錄、管理授權(quán)、轉(zhuǎn)賬匯款、支付交易、資金提現(xiàn)等關(guān)鍵業(yè)務(wù)場景的二次身份確認問題，保障用戶的信息和財產(chǎn)安全。

­　　參考文獻：

­　　《手機支付環(huán)境風險探討》馮峰、林顯忠